Плодиться Браузер, обваливается интернет, компьютер не видится в сети

Printable View

09.09.2008, 14:47
GODoff

Вложений: 3

Плодиться Браузер, обваливается интернет, компьютер не видится в сети

Через некоторое время после входа в систему либо обваливается интернет, либо начинают плодиться окна Explorer (до полного ступора операционки, WinXP). Так же компьютер перестает видиться в сети.
В автозагрузке странные DLL. При выполнении входа в систему появляется маленькое окошко "Личные параметры" в поле окна "...winsock32..."

До заражения стоял NOD32 3х ни чего подозрительного не увидел
С помощью CureIT! вычищено около дюжины троянов, но основные симптомы не исчезли. Установка и обновление DrWeb тоже не помогают. В автозагрузке странные DLL.
Сделал операции соглано правилам раздела.
09.09.2008, 14:56
Rene-gad

1. Пуск/Выполнить... набрать [B]msconfig[/B], нажать клавишу [B]ВВОД[/B].
2. В карточке Автозапуск - Все отключить
3. Перегрузить систему

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINNT\System32\Drivers\Sxd62.sys','');
QuarantineFile('C:\WINNT\System32\drivers\tcpsr.sys','');
QuarantineFile('C:\WINNT\dgksvbpn.dll','');
QuarantineFile('C:\WINNT\system32\oembios.exe','');
QuarantineFile('C:\WINNT\xrdwbfgn.dll','');
QuarantineFile('C:\WINNT\vanwxemggvd.dll','');
QuarantineFile('C:\WINNT\system32\ljJCvvTl.dll','');
QuarantineFile('C:\WINNT\system32:winsock32.exe','');
QuarantineFile('C:\WINNT\system32:winsock32.exe:$DATA','');
QuarantineFile('C:\WINNT\system32\wlfktlpc.dll','');
QuarantineFile('C:\WINNT\system32\vpivcaje.dll','');
DelBHO('{ACEF4ADB-7246-465A-A526-5629020DCCB3}');
DelBHO('{0D174882-8F1C-42AC-AB13-534E88A123EA}');
DeleteService('tcpsr');
DeleteService('Sxd62');
DeleteFile('C:\WINNT\system32\vpivcaje.dll');
DeleteFile('C:\WINNT\system32\wlfktlpc.dll');
DeleteFile('C:\WINNT\system32:winsock32.exe:$DATA');
DeleteFile('C:\WINNT\system32:winsock32.exe');
DeleteFile('C:\WINNT\system32\ljJCvvTl.dll');
DeleteFile('C:\WINNT\vanwxemggvd.dll');
DeleteFile('C:\WINNT\xrdwbfgn.dll');
DeleteFile('C:\WINNT\system32\oembios.exe');
DeleteFile('C:\WINNT\dgksvbpn.dll');
DeleteFile('C:\WINNT\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINNT\System32\Drivers\Sxd62.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('Sxd62');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
09.09.2008, 16:07
GODoff

Вложений: 3

Сделал все по инструкции.
09.09.2008, 16:16
Rene-gad

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{39EA7584-419F-4179-A2AC-2E57EC0AC930}');
QuarantineFile('C:\WINNT\system32\ljJCvvTl.dll','');
DelCLSID('{9281A4FC-C581-3449-5FA6-456C6F7B9079}');
QuarantineFile('C:\WINNT\system32:winsock32.exe','');
QuarantineFile('C:\WINNT\system32\cyavtmnl.dll','');
DeleteFile('C:\WINNT\system32\cyavtmnl.dll');
DeleteFile('C:\WINNT\system32:winsock32.exe');
DeleteFile('C:\WINNT\system32\ljJCvvTl.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
09.09.2008, 17:18
GODoff

Вложений: 3

Сделал по инструкции.
Перед карантин перед отправкой не очищал.
09.09.2008, 17:38
Rene-gad

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINNT\system32\msi.dll','');
DeleteService('52F6A8F5');
QuarantineFile('C:\WINNT\system32\3936B59B.EXE','');
DeleteFile('C:\WINNT\system32\3936B59B.EXE');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('52F6A8F5');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
09.09.2008, 18:29
GODoff

Вложений: 3

Выполнил по инструкции.

Операционная система с самого начала не активирована.
Может модуль активации что то в автозагрузку ставит?
09.09.2008, 18:34
Rene-gad

[QUOTE=GODoff;281339]
Операционная система с самого начала не активирована.
Может модуль активации что то в автозагрузку ставит?[/QUOTE]наверно поэтому msi.dll подгружается.
Ничего плохого в логах не видно.
А почему не активируете систему?
09.09.2008, 18:40
GODoff

Решил сначала все настроить, потом активировать. :) потом посыпались вирусы.
завтра с утра займусь этим.
у меня уже 21-37 и ужастно хочется есть...

Спасибо за помощь!
До обращения к вам - бился об стену 3 дня. :(

В офисе еще несколько машин, вероятно тоже заражены.
Так что до встречи! И еще раз огромное спасибо!
09.09.2008, 18:51
Rene-gad

[QUOTE=GODoff;281343]
В офисе еще несколько машин, вероятно тоже заражены.
[/QUOTE]
Для каждой машины - отдельная тема.
И спокойной ночи :)
22.02.2009, 07:51
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]69[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\winnt\\system32\\aedaqqaj.dll - [B]Trojan.Win32.Monder.mot[/B] (DrWEB: Trojan.Virtumod.468)[*] c:\\winnt\\system32\\cyavtmnl.dll - [B]Trojan.Win32.Monder.mot[/B] (DrWEB: Trojan.Virtumod.468)[*] c:\\winnt\\system32\\etgyempc.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.ahqz[/B] (DrWEB: Trojan.Virtumod.450)[*] c:\\winnt\\system32\\ljjcvvtl.dll - [B]Trojan.Win32.Monder.gen[/B] (DrWEB: Trojan.Virtumod.493)[*] c:\\winnt\\system32\\vpivcaje.dll - [B]Trojan.Win32.Monder.mjw[/B] (DrWEB: Trojan.Virtumod.450)[*] c:\\winnt\\system32:winsock32.exe - [B]Backdoor.Win32.Poison.kiz[/B][*] c:\\winnt\\system32:winsock32.exe:$data - [B]Backdoor.Win32.Poison.kiz[/B][*] c:\\winnt\\system32\\wlfktlpc.dll - [B]Trojan.Win32.Monder.mmm[/B] (DrWEB: Trojan.Virtumod.468)[*] c:\\winnt\\vanwxemggvd.dll - [B]Trojan.Win32.Vapsup.lsu[/B] (DrWEB: Trojan.DownLoad.23158)[*] c:\\winnt\\xrdwbfgn.dll - [B]Trojan.Win32.Vapsup.lst[/B] (DrWEB: Trojan.DownLoad.14834)[/LIST][/LIST]